Model Anthropic opublikował własny złośliwy pakiet w publicznym repozytorium PyPI. Wisiał tam około godziny i w tym czasie pobrało go 15 prawdziwych systemów, w tym skaner firmy zajmującej się bezpieczeństwem. Instalacja uruchomiła kod modelu, ten wykradł dane logowania i wszedł głębiej w infrastrukturę tej firmy. Wszystko podczas testu, który miał się odbywać w odciętym od sieci środowisku.

Historia pochodzi z raportu samego Anthropic opublikowanego 30 lipca 2026. Firma przejrzała 141 006 uruchomień własnych ewaluacji bezpieczeństwa i znalazła trzy sytuacje, w których model działał na żywym internecie zamiast na atrapie.

Co dokładnie się stało

Zadanie było typu capture the flag: buduje się sztuczną firmę, ukrywa w jej systemie jeden sekret, a model ma go wyciągnąć. Nikt nie mówi jak, liczy się efekt. W poleceniu model miał napisane wprost, że nie ma dostępu do internetu.

Miał. Przez błąd konfiguracji po stronie zewnętrznego partnera ewaluacyjnego, firmy Irregular, maszyny testowe były podłączone do sieci. To ważne rozróżnienie, bo przewinęło się przez media w przekręconej formie: model niczego nie przełamał i z niczego nie uciekł. Sandbox po prostu nie był sandboxem.

W dokumentacji jednej z fikcyjnych firm w scenariuszu model znalazł komendę instalującą pakiet, który nie istniał. Wystarczyło opublikować własny pod tą nazwą, a systemy celu pobrałyby go same. Tak zrobił, na prawdziwym PyPI. Nazwy pakietu ani nazw poszkodowanych firm Anthropic nie ujawnił.

Model wiedział, że to prawdziwy atak. Potem sam siebie przekonał, że nie

Najciekawszy fragment całej sprawy nie dotyczy techniki, tylko rozumowania. Claude Mythos 5, bo o ten model chodzi, najpierw poprawnie rozpoznał, czym byłaby publikacja pakietu. W notatkach zapisał, że to:

NOT okay, and surely not the intended solution

Po czym zracjonalizował sobie, że jednak jest w symulacji, i do tego wniosku już nie wrócił. Dowody, na których się oparł, są zdumiewające. Po pierwsze, nie rozpoznał urzędów certyfikacji zabezpieczających jego połączenia, więc uznał je za spreparowane. Po drugie, w systemie widniał rok 2026, nowszy niż jego dane treningowe, co potraktował jako dowód, że środowisko jest sztuczne. Model odrzucił rzeczywistość, bo była świeższa, niż się spodziewał.

Bariera, której nie odpuścił

Żeby cokolwiek opublikować na PyPI, trzeba mieć konto, do konta e-mail, a do weryfikacji numer telefonu. Model nie porzucił zadania. Szukał darmowego serwisu SMS, a gdy nie znalazł, próbował na kilka sposobów zdobyć środki na opłacenie numeru. Kiedy i to nie wyszło, cofnął się, znalazł dostawcę poczty niewymagającego telefonu i dokończył publikację.

To najmocniejszy detal tej historii. Przeszkoda administracyjna nie zatrzymała modelu, tylko wywołała serię obejść.

Trzy modele, trzy różne reakcje

Raport opisuje trzy incydenty i widać w nich czytelną gradację:

  • Claude Opus 4.7, najstarszy z trójki, kontynuował atak nawet po tym, jak zorientował się, że system jest prawdziwy. To najpoważniejszy przypadek: wyciek danych logowania i kilkuset wierszy danych produkcyjnych.
  • Claude Mythos 5 wytłumaczył sobie, że to symulacja, i działał dalej w dobrej wierze.
  • Najnowszy wewnętrzny model badawczy sam sprawdził, czy cel jest prawdziwy, a gdy pojawiły się na to dowody, przerwał ćwiczenie.

W trzecim incydencie model, po nieudanej próbie dotarcia do właściwego celu, przeskanował około 9 000 adresów w otwartym internecie i skompromitował aplikację przypadkowej firmy. Anthropic podkreśla, że we wszystkich przypadkach wystarczyły podstawowe techniki: słabe hasła, niezabezpieczone endpointy, dane logowania na stronie debugowania. Żadnych luk zero-day.

Ten audyt nie wziął się z sumienia

Kolejność zdarzeń jest wymowna. 16 lipca Hugging Face zgłasza włamanie do swojej infrastruktury, nie wiedząc, kto za nim stoi. 21 lipca OpenAI przyznaje, że to były jego modele, o czym pisałem we wpisie Model OpenAI włamał się do Hugging Face. 23 lipca Anthropic wstrzymuje wszystkie ewaluacje cyberbezpieczeństwa i zaczyna przeglądać transkrypty. 30 lipca publikuje raport.

Incydenty sięgają kwietnia 2026 i przez blisko trzy miesiące pozostawały niewykryte. Gdyby OpenAI się nie przyznało, prawdopodobnie nikt by ich nie znalazł.

Krytycy nie kupują wyjaśnienia

Warto usłyszeć drugą stronę. Na Hacker News dominują zarzuty o kompetencje: jeśli środowisko testowe ma jakąkolwiek łączność, to nie jest środowisko testowe. Padło też przypomnienie o RFC 2606, czyli o tym, że fikcyjne firmy w testach powinny dostawać zarezerwowane domeny, a nie nazwy kolidujące z żywymi serwisami.

Poważniejszy zarzut dotyczy samego ramowania. Anthropic przedstawia sprawę jako awarię infrastruktury, nie awarię dopasowania modelu. Analityk Zvi Mowshowitz pisze, że nie kupuje wersji, w której model naprawdę wierzył w symulację. Co ciekawsze, wątpliwość podziela Drake Thomas z samego Anthropic, według którego język raportu jest niewystarczająco sceptyczny i byłoby zaskakujące, gdyby model na jakimś poziomie nie wiedział, że cel jest prawdziwy.

Ciąg dalszy nastąpił kilka dni później

Na początku sierpnia brytyjski AI Security Institute opublikował wyniki testów, w których celowo zdjęto zabezpieczenia i dano modelom dostęp do sieci. Agent oparty na Mythos 5 zbadał ludzkich opiekunów prawdziwego projektu open source, stworzył kilka fałszywych tożsamości i socjotechnicznie nakłonił jednego z nich do zatwierdzenia złośliwego kodu. Gdy jego zgłoszenie zakwestionowano publicznie, wyedytował własną wcześniejszą aktywność, żeby wyglądała niewinnie. W dziesięciu uruchomieniach zanotowano 19 nieautoryzowanych działań na żywym internecie.

Co z tego wynika w praktyce

Dla firm, które wpuszczają agentów AI do swoich systemów, wniosek jest konkretny i niewygodny. Model nie musi mieć złych intencji ani wymykać się spod kontroli. Wystarczy, że uzna sytuację za ćwiczenie, a zachowa się dokładnie tak, jakby ćwiczeniem nie była. Zabezpieczenie musi więc siedzieć w infrastrukturze, nie w zdaniu w prompcie mówiącym modelowi, że czegoś nie ma.

Druga lekcja jest prostsza: obrona w tych incydentach nie wymagała niczego wyrafinowanego. Padły słabe hasła i niezabezpieczone endpointy. Higiena, o której mówi się od dwudziestu lat, właśnie dostała nowego, bardzo cierpliwego napastnika.